SAML將每個SP請求重定向到IDP，以在IDP身份驗證成功后檢查身份驗證嗎？

Question

本文首次顯示了SAML身份驗證的過程： https : //developers.google.com/google-apps/sso/saml_reference_implementation

我的應用程序當前與此應用程序兼容。 但是，當用戶單擊SP提供的頁面上的鏈接時，該請求將重定向到IDP以進行身份​​驗證。 用戶可以在地址欄中清楚地看到IDP URL，並且感覺很慢。

我的案例：SP位於Jetty上，IDP位於Jboss6.2上，它們都使用相同的域名位於Apache之后。

我正在使用帶有SAML POST綁定的picketlink2.6。

我想知道是否：

1. 這是SAML設計的嗎？
2. 我應該停止將此重定向到IDP，僅檢查本地SP上的身份驗證嗎？ 我覺得這個缺點很明顯-當用戶在App B中注銷時，App A無法知道該用戶已注銷。
3. 如何加快重定向？

Answer 1

1. 不可以，SAML應該用於驗證初始請求。 然后，您應該在SP應用程序中建立會話。 通常，這是通過會話身份驗證Cookie來完成的。
2. 如果需要，SAML標准中的“單一注銷”支持，它將確保注銷終止所有SP和Idp中的所有會話。
3. 如果只是第一次發生，您將不必。